FBI waarschuwt voor cyberaanvallen op PLC’s waterbedrijven

“De oudjes doen het nog goed”, kent u die uitdrukking. Maar die vlieger gaat niet altijd op. Onlangs waarschuwden het Federal Bureau of Investigation (FBI) gezamenlijk met het Environmental Protection Agency (EPA) voor gerichte cyberaanvallen op specifieke PLC’s van Rockwell Automation.

Volgens beide organisaties zijn verschillende water- en afvalwaterbedrijven in ten minste zeven Amerikaanse staten getroffen. Daarbij zijn operationele processen daadwerkelijk verstoord.

Het gaat specifiek om Allen-Bradley MicroLogix 1100- en 1400-PLC’s die rechtstreeks via internet bereikbaar waren. Die eerste reeks wordt niet meer verkocht, maar de 1400 voor zover bekend wel. Nadat aanvallers toegang hadden verkregen, wijzigden zij IP-adressen en wachtwoorden, waardoor operators het zicht op en de controle over installaties verloren. In enkele gevallen leidde dat tot drukverlies in waterleidingen en zelfs tot overstromingen. Ook zijn gewijzigde PLC-projectbestanden en afwijkingen in de ladderlogica aangetroffen.

Ook andere PLC’s kwetsbaar

FBI en EPA benadrukken dat vergelijkbare risico’s bestaan voor andere PLC-merken die rechtstreeks met internet zijn verbonden. Volgens de organisaties lijken bovendien identieke netwerkconfiguraties, ingericht door externe dienstverleners, de kans te vergroten dat meerdere installaties tegelijk kunnen worden gecompromitteerd.

PLC’s niet rechtstreeks aan internet

De Amerikaanse instanties adviseren beheerders van OT-systemen om PLC’s niet rechtstreeks via internet toegankelijk te maken. Externe toegang zou uitsluitend via een beveiligde gateway of jump host moeten verlopen, in combinatie met firewalls en een access control list (ACL). Verder wordt geadviseerd sterke en unieke wachtwoorden te gebruiken, mobiele verbindingen goed te beveiligen en logbestanden actief te monitoren op verdachte activiteiten. Ook adviseren de organisaties om PLC’s zoveel mogelijk in de ‘Run’-stand te laten staan, zodat ongeautoriseerde wijzigingen aan logica, configuratie en firmware worden voorkomen.

Verder bevelen FBI en EPA aan regelmatig PLC-projectbestanden te controleren op ongeautoriseerde wijzigingen, de mogelijkheid tot handmatige bediening van installaties te behouden en tijdig verouderde hardware te vervangen. End-of-life systemen ontvangen geen beveiligingsupdates meer en vormen daardoor een aantrekkelijk doelwit voor aanvallers.

OT-security steeds belangrijker

De waarschuwing onderstreept dat cyberaanvallen zich steeds vaker richten op de operationele technologie in industriële installaties. Waar ransomware zich jarenlang vooral op IT-systemen richtte, zoeken aanvallers nu nadrukkelijk naar rechtstreeks bereikbare PLC’s en andere besturingscomponenten. Daarmee is deze waarschuwing niet alleen relevant voor waterbedrijven, maar ook voor machinebouwers, system integrators en industriële eindgebruikers die op afstand toegang bieden tot hun besturingssystemen. De aanbevelingen van FBI en EPA sluiten aan bij een bredere ontwikkeling waarbij netwerksegmentatie, veilige remote access en een ‘secure by design’-benadering steeds belangrijker worden voor industriële automatisering.

En Nederland?

Rockwell Automation is gevraagd of dit ook in Nederland een probleem zou kunnen worden. Op deze en andere vragen, op verzoek van het bedrijf via email gesteld, heeft Aandrijven en Besturen nog geen reactie ontvangen.